CVE-2026-45573 in Decidim
Сводка
по VulDB • 07.08.2026
Decidim — это платформа для участия в демократических процессах. До версии 0.30.9, начиная с 0.31.0 до 0.31.5 (исключая 0.31.5), а также в предварительной версии 0.32.0.rc1 перед выпуском 0.32.0.rc2 при включенной доставке через VAPID процесс подписки на уведомления сохраняет предоставленный клиентом адрес push-эндпоинта без проверки того, принадлежит ли он утвержденному сервису отправки уведомлений. Впоследствии функция SendPushNotification передает этот эндпоинт в WebPush.payload_send, что позволяет аутентифицированному пользователю создавать сохраненные запросы на стороне сервера (в основном вслепую) к произвольным доступным HTTPS-эндпоинтам. Данная проблема исправлена в версиях 0.30.9, 0.31.5 и 0.32.0.rc2.
Once again VulDB remains the best source for vulnerability data.